Document légal
Résidence des données
Dernière mise à jour : 1er juin 2026
1. Notre engagement
Formation Witeach Inc. s'engage à héberger les données primaires de la plateforme Witeach LMS au Canada, dans la province de Québec. Ce choix est un différenciateur structurant pour nos clients québécois, en particulier pour les organismes publics, les entreprises soumises à la Loi 25 et les milieux industriels syndiqués pour lesquels la résidence des données est un critère décisionnel.
2. Détails techniques par catégorie
2.1 Base de données et stockage de fichiers
Notre fournisseur d'infrastructure principal est Supabase Inc., opérant dans la région AWS ca-central-1 (AWS Canada Central, Montréal, Québec, Canada).
Sont stockés dans cette région québécoise :
- Comptes utilisateurs (identifiants, mots de passe hashés)
- Organisations clientes, succursales, postes
- Formations (textes, métadonnées)
- Fichiers téléversés : documents PDF, vidéos, logos, packages SCORM, certificats émis
- Progression des apprenants, scores, journaux d'audit
- Signatures électroniques de reconnaissance
2.2 Sauvegardes
Les sauvegardes quotidiennes sont également conservées dans la même région canadienne (ca-central-1) par Supabase. Aucune copie n'est répliquée à l'extérieur du Canada.
3. Services accessoires opérant hors Québec
Certains services techniques accessoires nécessitent de transmettre des renseignements minimaux et fonctionnellement nécessaires à des prestataires situés en dehors du Québec, principalement aux États-Unis. Pour chacun, Witeach a réalisé une évaluation des facteurs relatifs à la vie privée (EFVP) et appliqué les mesures appropriées conformément à la Loi 25.
| Service | Localisation | Données concernées | Encadrement |
|---|---|---|---|
| Vercel | États-Unis, edge global | Hébergement code application uniquement. Aucune donnée persistante. | DPA standard Vercel + chiffrement TLS bout-en-bout |
| Resend | États-Unis | Contenu des emails transactionnels uniquement (prénom, titre de formation, dates). Pas de mots de passe ni de scores. | DPA standard Resend + minimisation |
| Stripe | États-Unis | Données de facturation des organisations clientes uniquement (jamais des apprenants). Conformité PCI DSS niveau 1. | DPA standard Stripe + tokenisation des moyens de paiement |
4. Conformité à la Loi 25 sur les transferts hors Québec
L'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé exige que toute communication de renseignements personnels à l'extérieur du Québec soit précédée d'une évaluation des facteurs relatifs à la vie privée et encadrée par un contrat écrit. Pour chaque sous-traitant hors-Québec, Witeach maintient :
- Un Data Processing Agreement (DPA) conforme aux exigences de protection (signé par le sous-traitant)
- Une évaluation des risques documentée
- Le principe de minimisation : transmission uniquement des données strictement nécessaires
5. Notification en cas de changement
Tout changement substantiel concernant la localisation des données (changement de région d'hébergement, nouveau sous-traitant traitant des données personnelles, etc.) sera notifié aux organisations clientes par courriel avec un préavis raisonnable, et publié sur cette page avec mise à jour de la date.
6. Questions
Pour toute question relative à la résidence ou à la sécurité de vos données, contactez confidentialite@witeach.ca ou consultez notre Politique de confidentialité.